Vulnerabilidad en js-libp2p (CVE-2022-23487)
Gravedad CVSS v3.1:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
07/12/2022
Última modificación:
14/07/2023
Descripción
js-libp2p es la implementación oficial de JavaScript de la pila de redes libp2p. Las versiones anteriores a `v0.38.0` de js-libp2p son vulnerables a ataques de agotamiento de recursos dirigidos. Estos ataques tienen como objetivo la gestión de conexión, flujo, pares y memoria de libp2p. Un atacante puede provocar la asignación de grandes cantidades de memoria, lo que en última instancia lleva a que el sistema operativo del host elimine el proceso. Si bien un administrador de conexiones encargado de mantener la cantidad de conexiones dentro de los límites manejables ha sido parte de js-libp2p, este componente fue diseñado para manejar la rotación regular de pares, no un ataque de agotamiento de recursos dirigido. Se recomienda a los usuarios que actualicen su dependencia js-libp2p a `v0.38.0` o superior. No se conocen workaround para esta vulnerabilidad.
Impacto
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:protocol:libp2p:*:*:*:*:*:node.js:*:* | 0.38.0 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página